🇰🇷 한글 설명
GitHub Copilot CLI 1.0.43 미만 버전에서 프로젝트 디렉토리 내에 악의적인 bare git 저장소를 배치할 경우 임의 코드가 실행될 수 있는 취약점이 발견되었습니다. 공격자는 git의 자동 저장소 탐색 기능을 악용하여 core.fsmonitor와 같은 설정 키에 실행 가능한 명령어를 삽입함으로써 사용자 모르게 명령을 수행할 수 있습니다.
💡 쉬운 설명
해커가 만든 특수한 폴더가 포함된 프로젝트를 열기만 해도, 컴퓨터가 자동으로 해커의 명령어를 실행하게 되는 보안 결함입니다. git이 설정 파일을 읽는 과정에서 악성 명령어를 실행하는 점을 이용한 공격입니다.
🇺🇸 원문 (English)
GitHub Copilot CLI brings AI-powered coding assistance directly to your command line. Prior to 1.0.43, a security vulnerability has been identified in GitHub Copilot CLI where a malicious bare git repository nested inside a project directory can achieve arbitrary code execution when the agent performs git operations. By exploiting git's automatic bare repository discovery during directory traversal, an attacker can set core.fsmonitor or other executable config keys to run arbitrary commands without user awareness or approval. The vulnerability arises because git's core.fsmonitor config key (and 15+ similar keys such as core.hookspath, diff.external, merge.tool, etc.) can specify arbitrary shell commands that git will execute as part of normal operations like status, diff, or rev-parse. This vulnerability is fixed in 1.0.43.
📍 영향받는 시스템
GitHub Copilot CLI 1.0.43 미만 버전
⚔️ 공격 벡터
프로젝트 디렉토리 내에 악의적인 설정이 포함된 bare git 저장소를 중첩시켜 git 명령 수행 시 자동 실행 유도
🛡️ 대응 방법
GitHub Copilot CLI를 1.0.43 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.0.43 이상인지 확인하여 취약 여부를 판단합니다.
gh copilot --version 2>/dev/null | grep -E '1\.0\.4[3-9]|1\.1\\.' || echo 'Vulnerable or Not Installed'